kblaudit
[kblaudit] 部分中的标记控制键盘记录器会话跟踪程序的行为。
cminder12901cn
[kblaudit] 部分中的标记控制键盘记录器会话跟踪程序的行为。
- audit_back指定键盘记录器备份审核日志文件的名称。默认值:ACInstallDir/log/kbl.audit.bak
- audit_group指定可以读取审核日志的组。 如果将此标记设为none,则只有 root 用户可以读取审核日志。 CA ControlMinder 不验证此标记的值,因此如果您输入无效的组名,CA ControlMinder 将不会为审核日志文件分配任何组权限。要更改现有审核日志文件的组所有权,请完成以下步骤:使用 selang 命令 chgrp 设置文件的组所有权。通过输入以下命令,更改 UNIX 权限:chmod 640 ACInstallDir/log/seos.audit默认值:none
- 审核_日志指定键盘记录器审核日志文件的名称。默认值:ACInstallDir/log/kbl.audit
- audit_max_files指定备份模式中最多保留的审核日志文件数。 达到此数目时,CA ControlMinder 会在创建最新的文件时删除最早的文件。限制:正整数。默认值:0注意:设置为 0 时,CA ControlMinder 会累积备份文件而不会删除较早的文件。
- audit_size指定审核日志文件的最大大小 (KB)。最大值:50 KB。默认值: 24000注意:在审核文件大小超过 2 GB 时,CA ControlMinder 会停止将审核记录写入审核文件。
- BackUp_Date指定 CA ControlMinder 备份审核日志文件的条件,以及 CA ControlMinder 是否会将时间戳添加到备份文件名中。CA ControlMinder始终在审核日志文件达到 audit_size 配置设置中指定的大小时备份该文件。值:none、yes、daily、weekly 和 monthly。
- yes - 在审核日志文件达到 audit_size 中指定的大小时 CA ControlMinder 对其进行备份,并在备份文件名中添加时间戳。
- none - 在审核日志文件达到 audit_size 中指定的大小时 CA ControlMinder 对其进行备份,但不在备份文件名中添加时间戳。
- daily、weekly、monthly - 只要经过指定的时间间隔且审核日志文件达到 audit_size 中指定的大小,CA ControlMinder 就会备份审核日志文件,并在备份文件名中添加时间戳。 但是,如果在指定时间间隔内没有审核事件写入审核日志文件,则 CA ControlMinder 不会在经过该时间间隔后备份文件。注意:CA ControlMinder 从第一个审核日志文件的创建时间起计数指定的时间间隔,并在相应日的午夜备份文件。
示例:该配置设置的值为 weekly,CA ControlMinder 在 创建审核日志文件。 在这一周发生了许多审核事件,审核日志文件在 4 月 4 日星期一超过了 audit_size 配置设置。 CA ControlMinder 在 4 月 4 日备份审核日志文件,并在备份文件名中添加时间戳。 在第一次创建审核日志文件之后的一周,即 4 月 8 日星期五的午夜,CA ControlMinder 再次备份审核日志文件,并在备份文件名中添加时间戳。默认值:NONE - cmd_log指定与键盘记录器 cmdlog 二进制文件的链接。默认值:/etc/AC
- error_back指定键盘记录器错误日志备份文件的名称。默认值:ACInstallDir/log/kbl.error.bak
- error_group指定可读取错误日志文件的组。 如果将此标记设为none,则只有 root 用户可以读取错误日志文件。 CA ControlMinder 不验证此标记的值,因此如果您输入无效的组名,该应用程序将不会为错误日志文件分配任何组权限。要更改现有错误日志文件的组所有权,请完成以下步骤:使用 selang 命令 chgrp 设置文件的组所有权。通过输入以下命令,更改 UNIX 权限:chmod 640 ACInstallDir/log/seos.audit默认值:none
- error_log指定键盘记录器错误日志文件的名称。默认值:ACInstallDir/log/kbl.error
- error_size定义错误日志文件的最大大小 (KB)。限制:最小值为 50 KB。默认值:500
- kbl_enabled指定是否启用键盘记录器。值:yes、no默认值:no
- kbl_flush_timeout指定用户会话非活动状态的时间间隔(秒),在此间隔后可打印的记录数据将存储在 kbl 审核文件中。 将此标记设置为 0 可将其禁用。默认值:30
- Kbl_seos_trace指定 seosd 是否在会话上激活跟踪,并将用户活动数据发送到键盘记录器。值:yes、no默认值:yes
- OS_etc_shells指定操作系统 shell 文件的名称。默认值:/etc/shells
- socket_name指定键盘记录器审核管理器的套接字名称。默认值:ACInstallDir/kblserver